自簽名憑證上的受信任 CA

自簽名憑證上的受信任 CA

我有一個舊的基於嵌入式 Linux 的設備,它來自我大約 10 年前做的一個專案。該設備沒有內建使用者介面、鍵盤或類似的東西,只有一個小型網頁伺服器來控制它。

我忘記了該設備的密碼,而最初製造該設備的公司已經在 5 年前消失了。

不管怎樣,我想我應該嘗試進入它,看看我是否可以讓它復活,也許將它重新用於其他任務(如果有人感興趣的話,它是 GSM 通訊設備),但我需要重置密碼它。

我設法獲得了“重置密碼”螢幕,但它堅持嘗試使用互聯網上的外部伺服器驗證某些內容,該伺服器不再在線,甚至不存在。

它向伺服器發出 https 請求,並使用 wire shark 對請求進行封包跟踪,顯示它嘗試聯繫伺服器,但失敗了。

所以...我想,我想知道我是否可以將自己的伺服器放到網路上,看看它能做什麼。

我啟動了一個 Apache2 實例,在其上啟用了 SSL,為其創建了一個自簽名證書,然後設定了我的 DNS,以便它被重定向到我的伺服器,而不是它正在尋找的伺服器。

除了一件事之外,這一切都很好。

如果我觀察資料包跟踪,嵌入式設備將拒絕與我的伺服器通信,因為它不信任憑證 CA。

如果我可以讓我的伺服器頒發自簽名證書,但假裝是另一個 CA(例如,equifax、verisign 或類似的機構),我想我也許可以讓設備進行驗證,並讓我重置管理員密碼。

有誰知道是否可以使用自簽名憑證來做到這一點?

答案1

大概。

如果自簽名憑證被拒絕,則有利於該裝置抵禦攻擊。您需要一個由裝置信任的憑證授權單位之一認可的憑證。

一種選擇可能是調整設備信任的憑證授權單位。但是,我猜這不是一個理想的選擇。 (如果您可以刪除硬碟並調整受信任的權限,那麼大概您也可以只調整密碼。)

但是,如果設備確實像您所說的那麼舊,則可能是它依賴已知已損壞的 MD5 等哈希演算法。

注意:我不會向您提供有關如何執行 MD5 衝突的說明。我只是說這樣的設備可能容易受到這樣的攻擊。

相關內容